PT-2026-34791 · Pnpm · Pnpm

风间映川 · CVE-2026-41360 · Publicado 2026-04-07 · Atualizado 2026-04-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.2

Descrição Um problema de integridade de aprovação existe no pnpm dlx que falha ao vincular operandos de scripts locais de forma consistente com os fluxos do pnpm exec. Isso permite que invasores substituam scripts locais aprovados antes da execução sem invalidar o plano de aprovação, levando à execução de conteúdos de scripts modificados.

Recomendações Atualizar para a versão 2026.4.2.

Exploit

Correção

Time Of Check To Time Of Use

Incorrect Authorization

Enumeração de Fraquezas

CWE-367

CWE-863

Identificadores relacionados

CVE-2026-41360

GHSA-W6WX-JQ6J-6MCJ

Produtos afetados

Pnpm

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41360.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/176c059b05357df1bc09d4328a2380670859eeff · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-w6wx-jq6j-6mcj · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-41360 · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-approval-integrity-bypass-in-pnpm-dlx-local-script-binding · Nota
• https://twitter.com/CVEnew/status/2048168347725152689 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41360 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-w6wx-jq6j-6mcj · Aviso do Fabricante